Pentest vs análisis de vulnerabilidades: diferencias y cuándo pedir cada uno

«Necesitamos un pentest» y «necesitamos un análisis de vulnerabilidades» se usan como si fueran lo mismo, y no lo son. Pedir el que no toca no es un error grave, pero sí significa pagar por algo que no responde a la pregunta que realmente tenías. Esta es la diferencia, sin tecnicismos innecesarios.

Análisis de vulnerabilidades: qué puertas están abiertas

Un análisis de vulnerabilidades escanea sistemas, aplicaciones o redes en busca de fallos conocidos —software desactualizado, configuraciones débiles, puertos expuestos que no deberían estarlo— y los lista según su severidad. Es un proceso más automatizado, más amplio y más barato: cubre mucha superficie en poco tiempo. Su límite es que se queda en el «qué existe»: no comprueba si esas puertas se pueden llegar a cruzar de verdad, ni qué pasaría si alguien lo hiciera.

Pentest: si esa puerta se puede cruzar, y hasta dónde llegas

El pentest (test de penetración, o hacking ético) parte de los mismos hallazgos, pero va un paso más allá: un profesional intenta explotarlos activamente, con el mismo planteamiento que usaría un atacante real, para comprobar si un fallo teórico se traduce en un acceso real. No se limita a decir «esta versión tiene una vulnerabilidad conocida»; demuestra si esa vulnerabilidad permite entrar, moverse lateralmente por la red o llegar a datos sensibles. Es más lento, más manual y exige más criterio —de ahí que cueste más— pero responde a la pregunta que de verdad importa: ¿qué pasaría si nos atacaran hoy?

La diferencia en una frase

El análisis de vulnerabilidades encuentra fallos potenciales; el pentest comprueba cuáles de esos fallos son explotables y qué alcance real tienen. El primero es un mapa de riesgo; el segundo es una prueba de fuego controlada.

Cuándo pedir cada uno

• Análisis de vulnerabilidades tiene sentido como chequeo periódico —cada pocos meses, o tras cambios importantes de infraestructura— para mantener una foto actualizada de la exposición, sin necesidad de repetir un pentest completo cada vez.
• Pentest tiene sentido antes de lanzar un sistema crítico a producción, tras un cambio significativo (una nueva pasarela de pago, una app que empieza a manejar datos sensibles), o cuando necesitas evidencia real —no solo un listado— para justificar una decisión de inversión en seguridad o cumplir un requisito de cliente o normativo.
• Muchas organizaciones necesitan ambos, en momentos distintos: análisis recurrentes para vigilancia continua, y pentest puntual cuando el riesgo real está en juego.

Un buen informe no es una lista de mil líneas

Sea cual sea el servicio, el resultado solo vale si es accionable. Un listado de cientos de hallazgos sin priorizar no ayuda a nadie: obliga al equipo técnico a decidir por dónde empezar sin criterio claro. Un informe útil prioriza por impacto real, distingue lo urgente de lo cosmético, y separa la capa técnica —para quien va a corregirlo— de la capa ejecutiva —para quien tiene que decidir si invertir en ello.

En Onubia hacemos ambos: análisis de vulnerabilidades para vigilancia continua y pentest con metodología OWASP y OSSTMM cuando hace falta comprobar de verdad qué aguanta y qué no. Si no tienes claro cuál necesitas, es justo el tipo de pregunta que resolvemos en la primera conversación.